{"id":232841,"date":"2026-07-14T05:05:01","date_gmt":"2026-07-14T12:05:01","guid":{"rendered":"https:\/\/www.mcafee.com\/blogs\/?p=232841"},"modified":"2026-07-14T05:05:01","modified_gmt":"2026-07-14T12:05:01","slug":"crypto-clipper-sostituzione-wallet-malware-estensione-browser","status":"publish","type":"post","link":"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/","title":{"rendered":"Scambio segreto: una campagna che sfrutta un\u2019estensione di tipo “crypto clipper”"},"content":{"rendered":"

di Neil Tyagi<\/em><\/p>\n

Sintesi<\/span><\/b>\u00a0<\/span><\/h2>\n

McAfee Advanced Threat Research ha individuato una campagna attiva basata su un’estensione del browser, concepita per rubare le criptovalute sostituendo di nascosto gli indirizzi dei portafogli digitali nel momento in cui un utente avvia una transazione<\/strong>. La campagna si diffonde tramite programmi non firmati (rilevati sia nella variante .NET sia Golang) che installano un\u2019estensione per Chromium dannosa, spacciandola per una innocua utilit\u00e0 chiamata \u201cGoogle Notes\u201d.<\/span><\/p>\n

Questa campagna \u00e8 legata a quella di cui parlava un precedente articolo di McAfee Labs<\/span> dal titolo \u201cIl sinkholing di CountLoader: approfondimenti sulla sua recente campagna<\/span><\/i>\u201d<\/span><\/a>,poich\u00e9 sembra che<\/span> entrambe<\/span> le operazioni siano opera dello stesso autore<\/span>.<\/span> In quella precedente ricerca avevamo analizzato una carica virale di tipo \u201ccrypto clipper\u201d che veniva iniettata direttamente nella memoria. In questo articolo ne analizziamo una che opera come ultima fase: un\u2019estensione dannosa per browser, progettata per intercettare e manipolare le transazioni in criptovaluta.<\/span><\/p>\n

In questo articolo spieghiamo in dettaglio come funziona l’estensione e forniamo un’analisi tecnica dei meccanismi che rendono questa minaccia particolarmente singolare. L’estensione funziona come uno strumento di crittografia che monitora gli appunti: tiene d’occhio le operazioni di copia e incolla, individua gli indirizzi dei portafogli (wallet) su diverse blockchain (catene a blocchi) e li sostituisce con indirizzi controllati dall’autore dell’attacco, appena prima che la vittima incolli il contenuto. Dato che la maggior parte delle transazioni su blockchain \u00e8 irreversibile, basta anche una sola esecuzione ininterrotta per causare una perdita economica permanente.<\/span><\/p>\n

Sono due le caratteristiche che distinguono questa campagna dalle tipiche minacce dei clipper:<\/span>\u00a0<\/span><\/p>\n

    \n
  1. Abuso del trust-layer (il “livello di fiducia”) di Chromium.<\/span><\/b>\u00a0<\/span><\/b>Il programma installa di nascosto un’estensione dannosa nei browser basati su Chromium, come Google Chrome, Brave e Microsoft Edge, modificando i file delle impostazioni protette del browser. Di solito, questi browser salvano i dati di verifica della sicurezza (valori hash\/HMAC) insieme alle impostazioni sensibili per rilevare eventuali modifiche non autorizzate<\/span>.<\/span><\/b>\u00a0<\/span><\/b>Dopo aver manomesso i file, il malware ricalcola e aggiorna questi valori di sicurezza, inducendo cos\u00ec il browser a credere che l’estensione dannosa sia invece legittima. Questo permette all’estensione di aggirare la normale procedura di installazione dal negozio online e di caricarsi in modo silente senza l’autorizzazione dell’utente. Nelle versioni aggiornate dei browser Chrome ed Edge, affinch\u00e9 l’estensione si carichi correttamente la vittima deve attivare manualmente la modalit\u00e0 sviluppatore; chi invece utilizza versioni non aggiornate dei browser basati su Chromium rimane esposto a un rischio elevato. Comunque, per far abilitare la modalit\u00e0 sviluppatore nelle versioni pi\u00f9 recenti, l’aggressore pu\u00f2 ricorrere a tecniche di ingegneria sociale.<\/span><\/li>\n
  2. Sistema di comando e controllo basato su blockchain<\/strong>. Poich\u00e9 questa estensione non contiene un dominio di comando e controllo (C2) incorporato nel programma (hardcoded), interroga tramite RPC (chiamata di procedura remota) un endpoint di una blockchain pubblica, richiama in sola lettura un metodo di contratto intelligente (contratto che applica automaticamente le condizioni), infine decodifica la risposta nel momento dell’esecuzione per rivelare il suo C2 attivo, che \u00e8 risultato al momento dell\u2019analisi<\/span> Zebregts[.]com <\/span>. Questa tecnica, detta \u201cEtherHiding\u201d<\/strong>, complica gli sforzi di contrasto al crimine perch\u00e9 l\u2019autore dell\u2019attacco pu\u00f2 cambiare l\u2019infrastruttura aggiornando il valore di un contratto intelligente invece di ridistribuire il malware.<\/span>\u00a0<\/span><\/li>\n<\/ol>\n

    La telemetria di McAfee<\/span> indica<\/span> che l’infezione \u00e8 distribuita nel mondo, ma con una forte concentrazione in India. Piuttosto che a un’operazione specifica per una determinata regione, l’ampiezza dell’area geografica fa pensare a <\/span>un approccio<\/span> opportunistico rivolto agli utenti delle criptovalute.<\/span><\/span>\u00a0<\/span><\/p>\n

    Diffusione geografica<\/span><\/span>\u00a0\u00a0<\/span><\/h2>\n
    \"Mappamondo
    Le regioni del mondo pi\u00f9 colpite secondo la nostra ricerca.<\/figcaption><\/figure>\n

    L’analisi dei dati telemetrici <\/span>indica <\/span>che <\/span><\/span>i contagi sono distribuiti<\/span><\/span><\/strong> a livello globale, con una <\/span><\/span>concentrazione significativamente <\/span>pi\u00f9 alta<\/span> in India <\/span><\/span>rispetto alle altre regioni.<\/span><\/span><\/p>\n

    L’ampiezza della sua presenza geografica mette in evidenza la vasta portata della campagna, il che fa pensare a un attacco opportunistico piuttosto che mirato a una regione specifica.<\/span><\/span>\u00a0<\/span><\/p>\n

    L’estensione dannosa: \u201cGoogle Notes\u201d<\/span><\/span>\u00a0<\/span><\/h2>\n

    Questo malware si camuffa come un’estensione <\/span>apparentemente innocua<\/span>: Google Notes.<\/span><\/span>\"Lestensione<\/p>\n

    Figura 1. L’estensione dannosa al centro di questa campagna.<\/em><\/p>\n

    L’estensione si presenta come un’applicazione per fare annotazioni, dall’aspetto minimalista e apparentemente legittima, denominata \u201cGoogle Notes\u201d, completa di un’icona chiara e di un’interfaccia utente funzionale (e semplicistica).<\/span><\/p>\n

    La copertura \u00e8 ben studiata: un utente che apra manualmente l\u2019estensione trova che funziona proprio come promesso, il che smorza ogni sospetto. La logica dannosa dell’estensione \u00e8 implementata negli script dei service worker che funzionano in background e negli script di contenuto, che operano completamente al di fuori della vista dell’interfaccia utente.<\/span><\/p>\n

    Il primo grande campanello d’allarme suona gi\u00e0 quando si installa l’estensione, che richiede <\/span><\/b>autorizzazioni <\/span><\/b>di <\/span><\/b>sicurezza e diritti di <\/span><\/b>accesso <\/span><\/b>sproporzionati per una <\/span><\/b>semplice applicazione <\/span><\/b>di annotazioni<\/span><\/b>:<\/strong><\/p>\n

      \n
    • accesso a tutti gli URL, che consente l’iniezione di script nei contenuti di ogni sito visitato dall’utente;<\/span>\u00a0<\/span><\/li>\n
    • accesso alla cronologia di navigazione;<\/span>\u00a0<\/span><\/li>\n
    • accesso in lettura e scrittura agli appunti.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

      Misure di mitigazione e raccomandazioni<\/span>\u00a0<\/span><\/h2>\n

      Per i consumatori<\/span>\u00a0<\/span><\/h3>\n
        \n
      1. Prima di confermare qualsiasi transazione in criptovaluta,<\/span> controlla visivamente che i primi e gli ultimi sei caratteri dell’indirizzo del destinatario <\/span><\/b>corrispondano a quelli della fonte originale, meglio se su un dispositivo diverso.Questa semplice abitudine ti permette di sventare la stragrande maggioranza degli attacchi dei “clipper”.<\/span>\u00a0<\/span><\/li>\n
      2. Installa le estensioni del browser esclusivamente dal Chrome Web Store ufficiale<\/span><\/b>, dal sito Componenti aggiuntivi di Edge o da piattaforme equivalenti. Un’estensione che compare nell’elenco di quelle installate senza che tu la ricordi chiaramente va considerata sospetta.<\/span>\u00a0<\/span><\/li>\n
      3. Controlla le autorizzazioni concesse a ogni estensione installata<\/span><\/b>. Uno strumento per fare annotazioni non ha alcun motivo valido per accedere a tutti i siti web, alla cronologia di navigazione o agli appunti.<\/span>\u00a0<\/span><\/li>\n
      4. Evita di eseguire file eseguibili non firmati <\/span><\/b>provenienti da fonti non autorevoli, in particolare quelle che offrono versioni gratuite o craccate di software a pagamento: sono infatti un vettore di diffusione molto comune per questa categoria di programmi di installazione.<\/span>\u00a0<\/span><\/li>\n
      5. Tieni aggiornate e attive le protezioni degli endpoint<\/span><\/b>; i clienti McAfee sono protetti da questa specifica campagna, come descritto di seguito.<\/span>\u00a0<\/span><\/li>\n<\/ol>\n

        Le soluzioni di sicurezza McAfee proteggono gli utenti su pi\u00f9 livelli<\/span><\/h3>\n

        1. McAfee rileva questa minaccia come CryptoStealer.NE e garantisce la sicurezza dei clienti<\/span><\/b>\u00a0<\/span><\/h4>\n
        \"Figura
        Figura 2. McAfee Antivirus per gli utenti privati blocca questa minaccia.<\/em><\/figcaption><\/figure>\n

        2. Protezione dagli scaricamenti dannosi<\/span><\/b><\/h4>\n

        Il comportamento del programma di installazione, che scarica ed esegue a distanza la carica virale, viene segnalato e bloccato da McAfee prima che l’infezione venga completata.<\/span>\u00a0<\/span>Nei nostri test, tutti i domini e gli URL dannosi sono stati bloccati da McAfee.<\/span>\u00a0<\/span><\/p>\n

        3. Protezione della rete<\/span><\/b><\/h4>\n

        McAfee blocca le connessioni alle infrastrutture dannose note (i server di comando e controllo), impedendo l’acquisizione dell’indirizzo del portafogli digitale.<\/span>\u00a0<\/span><\/p>\n

        4. Informazioni sulle minacce in tempo reale<\/span><\/b><\/h4>\n

        Poich\u00e9 questa minaccia \u00e8 stata identificata nella telemetria di McAfee, \u00e8 possibile mettere rapidamente in atto le protezioni per:<\/span>\u00a0<\/span><\/p>\n

          \n
        • bloccare varianti simili;<\/span>\u00a0<\/span><\/li>\n
        • individuare le infrastrutture correlate;<\/span>\u00a0<\/span><\/li>\n
        • proteggere i clienti in tutto il mondo.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

          Come funziona questa campagna di attacchi<\/span><\/span>\u00a0<\/span><\/h1>\n

          Attivit\u00e0 del malware<\/span>\u00a0\u00a0<\/span><\/h2>\n
            \n
          1. Installa<\/span> un’estensione del browser in modo silente (caricamento laterale, o sideloading, dell’estensione web).<\/span>\u00a0<\/span><\/li>\n
          2. Controlla ci\u00f2 che si copia e incolla (soprattutto gli indirizzi delle criptovalute).<\/span>\u00a0<\/span><\/li>\n
          3. Funziona quando si effettua una transazione in criptovaluta.<\/span><\/li>\n
          4. Sostituisce di nascosto l’indirizzo del portafogli con quello dell’autore dell’attacco.<\/span>\u00a0<\/span><\/li>\n
          5. Invia i soldi a quest’ultimo invece che al destinatario previsto.<\/span>\u00a0<\/span><\/li>\n<\/ol>\n

            Dato che le transazioni in criptovaluta sono in genere <\/span>irreversibili<\/span><\/b>, le vittime possono perdere i propri fondi definitivamente.<\/strong><\/span>\"Figura<\/p>\n

            Figura 3. Come funziona l’estensione, in poche parole.<\/em><\/p>\n

            Le principali capacit\u00e0 individuate<\/span><\/span>\u00a0<\/span><\/h2>\n

            1. Installazione silente di un’estensione<\/span><\/span>\u00a0<\/span><\/h3>\n

            Il malware non usa il negozio ufficiale del browser, ma modifica direttamente i file del browser stesso per installare l’estensione\u00a0(caricamento laterale o sideloading).<\/span><\/p>\n

            Questo aggira le normali richieste di sicurezza e la consapevolezza dell’utente.<\/span>\u00a0<\/span><\/span>\"<\/span <\/span><\/p>\n

            2. Accesso completo al browser<\/span><\/span>\u00a0<\/span><\/h3>\n
            \"Figura
            Figura 5. Autorizzazioni richieste dall\u2019estensione per Chrome.<\/em><\/figcaption><\/figure>\n
            \"Figura
            Figura 6. File manifest per l\u2019estensione web.<\/em><\/figcaption><\/figure>\n

            L\u2019estensione dannosa richiede autorizzazioni eccessive, ad esempio:<\/span>\u00a0<\/span><\/p>\n

              \n
            • accesso a tutti i siti web;<\/span><\/li>\n
            • lettura della cronologia di navigazione;<\/span><\/li>\n
            • lettura e modifica del contenuto degli appunti.<\/span><\/li>\n<\/ul>\n

              3. Intercettazione di indirizzi delle criptovalute<\/span><\/b><\/h3>\n

              L’estensione contiene una logica per rilevare gli indirizzi dei portafogli in diverse criptovalute:<\/span>\"Figura<\/p>\n

              Figura 7. Espressioni regolari e indirizzi di riserva incorporati per le criptovalute.<\/em><\/p>\n

                \n
              • Gli indirizzi dei portafogli di riserva indicati nel codice non vengono utilizzati per ogni transazione, ma fungono da meccanismo secondario nel caso in cui il recupero dinamico degli indirizzi dal server controllato dal pirata informatico non vada a buon fine.<\/span>\u00a0<\/span><\/li>\n
              • In condizioni di funzionamento normale, l’estensione recupera gli indirizzi sostitutivi da un server remoto, consentendo l’assegnazione dinamica dei portafogli, potenzialmente su base individuale per ogni vittima.\u00a0<\/span>\u00a0<\/span><\/li>\n
              • Gli indirizzi di riserva garantiscono che l’attacco continui a funzionare anche se l’infrastruttura di comando e controllo \u00e8 temporaneamente indisponibile o bloccata.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                \"Figura
                Figura 8. Estensione dannosa che risolve in modo dinamico gli indirizzi delle criptovalute.<\/em><\/figcaption><\/figure>\n
                  \n
                • Questa funzione serve a ottenere l’indirizzo del portafogli sostitutivo controllato dall’autore dell’attacco, corrispondente all’indirizzo originale della vittima.\u00a0<\/span>\u00a0<\/span><\/li>\n
                • Invia l’indirizzo del portafogli intercettato al backend del pirata informatico e usa la risposta per sostituire dinamicamente l’indirizzo originale.\u00a0<\/span>\u00a0<\/span><\/li>\n
                • Se la richiesta al backend fallisce, la funzione ricorre a un indirizzo predefinito e incorporato, garantendo cos\u00ec il proseguimento ininterrotto dell’attivit\u00e0 dannosa.<\/span>\u00a0<\/span><\/li>\n
                • 3J98t1Wxxxx \u00e8 l’indirizzo che \u00e8 stato copiato negli appunti.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                  4<\/span>.\u00a0<\/span>Elusione del rilevamento e invisibilit\u00e0<\/span><\/span><\/h3>\n
                  \"Figura
                  Figura 8B. Il file settings.js che mostra la configurazione.<\/em><\/figcaption><\/figure>\n
                    \n
                  • La configurazione include una chiave API incorporata, che viene utilizzata dall’estensione per autenticare la comunicazione con l’infrastruttura controllata dall’autore dell’attacco.\u00a0<\/span>\u00a0<\/span><\/li>\n
                  • Un URL RPC, che punta a un nodo di una blockchain pubblica, viene usato per recuperare in modo dinamico le informazioni sul server di backend, consentendo al criminale di nascondere infrastrutture critiche dietro sistemi decentralizzati.\u00a0<\/span>\u00a0<\/span><\/li>\n
                  • La presenza di un indirizzo e di un metodo relativi a un contratto intelligente indica che il malware recupera il proprio dominio di comando e controllo (C2) in modo indiretto tramite interrogazioni alla blockchain. Ci\u00f2 rende pi\u00f9 difficili sia lo smantellamento sia il tracciamento dell’attivit\u00e0 criminosa.<\/span>\u00a0<\/span><\/li>\n
                  • I domini nella lista nera sono un elenco di siti web di ispezione della blockchain nei quali l’estensione non funziona; l’elenco serve a non insospettire la vittima che sta incollando il proprio indirizzo per controllare il saldo del portafogli o per verificare le transazioni effettuate<\/span>.\u00a0<\/span><\/li>\n<\/ul>\n
                    \"Figura
                    Figura 9. Identificazione del dominio C2 dell\u2019autore dell\u2019attacco tramite contratto intelligente <\/span>su Ethereum (etherhiding).<\/em><\/figcaption><\/figure>\n
                    \"Figura
                    Figura 10. Carica virale della richiesta con l’indirizzo del contratto Ethereum.<\/em><\/figcaption><\/figure>\n
                      \n
                    • L’analisi dinamica rivela che il malware risolve il proprio dominio di comando e controllo tramite un contratto intelligente sulla blockchain il quale, durante l’esecuzione, ha restituito il dominio <\/span>devops-offensive[.]cc<\/span><\/i><\/b>.<\/span>\u00a0<\/span><\/li>\n
                    • La risposta proveniente dalla blockchain viene decodificata durante l’esecuzione, rivelando il dominio C2 attivo (devops-offensive.cc).\u00a0<\/span>\u00a0<\/span><\/li>\n
                    • Questo dominio non \u00e8 incorporato nel codice sorgente, il che permette all’autore dell’attacco di aggiornare l’infrastruttura senza modificare il malware.<\/span>\u00a0<\/span><\/li>\n
                    • Il dominio risolto viene memorizzato nella cache locale per garantire la persistenza e ridurre la ripetizione delle richieste in rete.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                      \"Figura
                      Figura 11. La stringa con codifica lunga che contiene il dominio dannoso.<\/em><\/figcaption><\/figure>\n

                      La <\/span><\/span>stringa con codifica lunga viene decodificata usando questa <\/span>funzione<\/span> per ottenere il dominio finale dell’autore dell’attacco.<\/span><\/span><\/p>\n

                      \"Figura
                      Figura 12. Il dominio finale dell’autore dell’attacco.<\/em><\/figcaption><\/figure>\n

                      Tecniche di persistenza ed elusione<\/span><\/span>\u00a0<\/span><\/h2>\n

                      L’approccio della campagna, caratterizzato da persistenza e <\/span>capacit\u00e0 di eludere<\/span> i controlli, \u00e8 intenzionale e articolato su pi\u00f9 livelli. L’operatore ha chiaramente <\/span>puntato<\/span> su due caratteristiche: bassa visibilit\u00e0 per l’utente ed elevata resistenza contro smantellamento e analisi statica.<\/span><\/span>\u00a0<\/span><\/p>\n

                      Persistenza<\/span>\u00a0<\/span><\/h3>\n
                        \n
                      • La registrazione dell’estensione tramite la manomissione delle preferenze protette garantisce che venga caricata a ogni successivo avvio del browser senza bisogno di alcun meccanismo ausiliario di persistenza in Windows: <\/span>niente chiavi Run nel Registro di sistema, n\u00e9 attivit\u00e0 pianificate o servizi che chi va a caccia di endpoint di solito controlla.<\/span><\/i><\/b>\u00a0<\/span><\/li>\n
                      • La modalit\u00e0 sviluppatore viene abilitata a livello di programma quando necessario, consentendo alle estensioni decompresse di persistere senza attivare l’\u201cavviso sulle estensioni decompresse\u201d visualizzato periodicamente da Chromium per scoraggiare il caricamento laterale.<\/span>\u00a0<\/span><\/li>\n
                      • Il dominio C2 memorizzato nella cache permette all’estensione di continuare a funzionare con un backend di cui sa il funzionamento corretto, anche se l’endpoint RPC della blockchain dovesse risultare temporaneamente non disponibile.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                        Elusione<\/span><\/h3>\n
                          \n
                        • L’identit\u00e0 visibile dell’estensione, ossia una semplice app per fare annotazioni chiamata \u201cGoogle Notes\u201d, offre una copertura plausibile in caso l’utente consulti l’elenco delle estensioni installate.<\/span>\u00a0<\/span><\/li>\n
                        • I valori HMAC ricalcolati<\/span> superano la verifica di integrit\u00e0 di Chromium, evitando cos\u00ec che compaia il banner di avviso \u201cestensione installata da una fonte sconosciuta\u201d che allerterebbe l\u2019utente.<\/span>\u00a0<\/span><\/li>\n
                        • Il programma di installazione si elimina automaticamente dopo l’esecuzione, rimuovendo cos\u00ec dal disco la traccia pi\u00f9 evidente della <\/span>compromissione iniziale.<\/span>\u00a0<\/span><\/li>\n
                        • La risoluzione del dominio C2 tramite una blockchain pubblica significa che nel pacchetto del malware non \u00e8 presente alcun dominio di comando e controllo persistente; i sistemi di rilevamento basati sulla rete, configurati per indicatori codificati nei programmi, non si attivano finch\u00e9 il dominio non viene risolto e contattato.<\/span>\u00a0<\/span><\/li>\n
                        • Le varianti multilinguaggio del programma di installazione (.NET e Golang) riducono l’efficacia delle firme degli artefatti di compilazione e delle funzionalit\u00e0 binarie.<\/span>\u00a0<\/span><\/li>\n
                        • La sostituzione dinamica dei portafogli digitali per ogni indirizzo significa che gli indirizzi pubblicati degli aggressori diventano obsoleti rapidamente e non si trasformano in voci permanenti nella lista nera: chi si difende deve bloccare il servizio di backend stesso, non gli indirizzi da esso generati.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                          Logica di sostituzione del portafogli<\/span><\/span><\/span><\/h2>\n

                          La logica del clipper si articola su due livelli: il livello dello script di contenuto, che monitora l’attivit\u00e0 degli appunti e i campi di inserimento DOM su ogni origine visitata; un livello in background che comunica con il backend dell’autore dell’attacco per recuperare gli indirizzi sostitutivi.<\/span><\/p>\n

                          Quando l’estensione rileva un evento di copia, applica al contenuto degli appunti una serie di espressioni regolari specifiche per le criptovalute. Se trova una corrispondenza, l’indirizzo intercettato viene trasmesso al backend<\/span>dell’autore dell’attacco<\/span> tramite una richiesta autenticata (con la chiave API incorporata nella configurazione). Il backend risponde con un indirizzo sostitutivo specifico per l’originale inviato, che viene inserito negli appunti sovrascrivendo quello legittimo prima che la vittima possa incollarlo.<\/span><\/p>\n

                          I test effettuati su un client backend ricostruito (realizzato reimplementando in Python il formato delle richieste dell\u2019estensione e la sua logica di decodifica delle risposte) hanno fornito un profilo comportamentale rivelatorio:<\/span><\/p>\n

                            \n
                          • Bitcoin<\/span><\/b> (BTC), Ethereum, Bitcoin Cash, Ripple e Dash: <\/span><\/b>ogni indirizzo inviato viene associato a un unico indirizzo controllato dall’autore dell’attacco. Inviando di nuovo lo stesso originale, si ottiene la stessa sostituzione, il che indica una associazione deterministica univoca gestita dal server.<\/span>\u00a0<\/span><\/li>\n
                          • Solana: <\/span><\/b>tutti gli indirizzi inviati convergono su un unico indirizzo dell’autore dell’attacco, il che suggerisce che la funzione di associazione per ogni vittima sia implementata in modo selettivo a seconda della catena.<\/span><\/li>\n<\/ul>\n

                            Analisi<\/span> dei portafogli di criptovalute degli aggressori<\/span><\/span><\/h2>\n

                            Sulla base dei frammenti di codice dell’estensione web incaricata di recuperare gli indirizzi sostitutivi, \u00e8 stato creato uno script Python per estrarre a livello di programma gli indirizzi dei portafogli del pirata informatico. La carica virale \u00e8 stata creata utilizzando lo stesso codice del pirata, mentre il frammento “get replacement address” (“ottieni indirizzo sostitutivo”) \u00e8 stato copiato direttamente. Nello script \u00e8 stata fedelmente riprodotta anche la logica utilizzata dall’autore dell’attacco per decodificare i dati ricevuti dal server C2.<\/span><\/p>\n

                            Lo script \u00e8 stato poi provato su alcuni indirizzi dei portafogli Bitcoin (BTC). I risultati hanno mostrato che, per ogni indirizzo Bitcoin fornito, veniva restituito in risposta un indirizzo Bitcoin univoco e tutti gli indirizzi restituiti erano portafogli BTC validi. Ci\u00f2 significa che, per ogni indirizzo BTC fornito, l’autore dell’attacco genera dinamicamente un nuovo portafogli legato a quello specifico indirizzo immesso. Inoltre, fornendo nuovamente lo stesso indirizzo, veniva restituito lo stesso indirizzo BTC, a conferma del fatto che <\/span>l’indirizzo BTC di ciascuna vittima viene associato in modo deterministico a un singolo indirizzo specifico controllato dall’autore dell’attacco<\/span><\/b>. Anche se alcuni dei portafogli illeciti contenevano fondi e altri erano vuoti, il fatto che il numero totale dei portafogli degli hacker sia sconosciuto rende difficile fare una stima attendibile dell’ammontare complessivo di criptovaluta rubata.<\/span><\/p>\n

                            Lo stesso comportamento \u00e8 stato osservato anche per Ethereum, dove per ogni immissione venivano restituiti indirizzi di portafogli diversi. \u00c8 interessante notare che, quando lo script \u00e8 stato testato con indirizzi Solana, veniva restituito un solo indirizzo, indipendentemente dal numero di indirizzi diversi forniti. Questo fa pensare che l’autore dell’attacco abbia implementato la funzione di associazione per indirizzo solo per alcune criptovalute specifiche, mentre per le altre ricorra a un unico portafogli statico di raccolta. Dato che l’indirizzo Solana \u00e8 lo stesso per tutte le vittime, si nota un aumento evidente del suo saldo. Inoltre \u00e8 emerso che uno degli indirizzi Ethereum individuati conteneva fondi per un valore di circa 1902 USD.<\/span><\/p>\n

                            In sintesi, le criptovalute<\/strong> per le quali vengono generati indirizzi di portafogli univoci per ogni vittima includono Bitcoin, Ethereum, Bitcoin Cash, Ripple e Dash.<\/strong><\/span>\"Figura<\/p>\n

                            Figura 13. Carica virale<\/span> creata come codice di attacco.<\/em><\/p>\n

                            \"Figura
                            Figura 14. Frammento del codice di attacco con l’indirizzo di sostituzione.<\/em><\/figcaption><\/figure>\n
                            \"Figura
                            Figura 15. \u00c8 stata implementata anche la logica utilizzata dagli hacker per decodificare i dati ricevuti dal C2.<\/figcaption><\/figure>\n

                            Esecuzione <\/span>dello script con alcuni indirizzi di prova di portafogli Bitcoin<\/span><\/span>\"Figura<\/p>\n

                            Figura 16. Per ogni indirizzo Bitcoin \u00e8 stato restituito un indirizzo Bitcoin univoco. Tutti sono indirizzi validi di portafogli BTC.<\/em><\/p>\n

                            \"Figura
                            Figura 17. Analogamente, anche Ethereum ha restituito indirizzi univoci.<\/em><\/figcaption><\/figure>\n
                            \"Figura
                            Figura 18. Esecuzione dello script per gli indirizzi Solana di prova.<\/figcaption><\/figure>\n

                            Per fortuna, con Solana,<\/span> quando si inseriscono pi\u00f9 indirizzi <\/span>ne viene restituito solo uno<\/span>.<\/span>Questo<\/span> dimostra <\/span>che l’autore dell’attacco ha implementato la funzione di associazione degli indirizzi<\/span> solo su alcune criptovalute specifiche<\/span><\/span>.\"Figura<\/p>\n

                            Figura 19. Aumento nell\u2019importo del saldo.<\/em><\/p>\n

                            \"Figura
                            Figura 20. L’indirizzo ETH \u00e8 risultato contenere 1902 USD.<\/em><\/figcaption><\/figure>\n

                            Analisi <\/span>tecnica del <\/span>file .net<\/span> (programma di installazione dell’estensione)<\/span><\/span><\/h3>\n
                            \"Figura
                            Figura 21. BaseZipInstaller \u00e8 un programma di installazione .NET non firmato.<\/em><\/figcaption><\/figure>\n
                            \"Figura
                            Figura 22. Configurazione memorizzata come si vede in Dnspy.<\/em><\/figcaption><\/figure>\n
                              \n
                            • Il malware incorpora un file JSON di configurazione completo direttamente all’interno del file binario, eliminando cos\u00ec la necessit\u00e0 di recuperare i dati di configurazione iniziali da fonti esterne.<\/span>\u00a0<\/span><\/li>\n
                            • La configurazione incorporata include dettagli fondamentali come le chiavi API, l’URL del server di backend, le estensioni dei portafogli di destinazione e il manifesto completo delle estensioni con ampie autorizzazioni.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                              \"Figura
                              Figura 23. Funzione principale da cui parte l’esecuzione.<\/em><\/figcaption><\/figure>\n
                                \n
                              • Il programma di installazione recupera e <\/span>convalida<\/span> un archivio ZIP remoto <\/span>(google-services<\/span>[<\/span>.<\/span>]<\/span>cc\/base<\/span>[<\/span>.<\/span>]<\/span>zip)<\/span>), che funge da principale carica virale per la distribuzione dell’estensione dannosa del browser. Segna cos\u00ec il passaggio dall’<\/span>infezione<\/span> iniziale alla compromissione a livello di browser.<\/span><\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                \"Figura
                                Figura 24. L’estensione viene creata nella seguente posizione del sistema, con i file che sono stati scaricati come base.zip.<\/em><\/figcaption><\/figure>\n
                                \"Figura
                                Figura 25. Dnspy che mostra l’elenco dei browser presi di mira.<\/em><\/figcaption><\/figure>\n
                                  \n
                                • Il programma di installazione esegue una scansione di diversi browser basati su Chromium, tra cui Chrome, Edge, Opera e Brave, individuando i profili utente disponibili sul sistema.<\/span>\u00a0<\/span><\/li>\n
                                • Per ogni profilo rilevato, il malware termina forzatamente il processo del browser per modificare in tutta sicurezza i file di configurazione senza interferenze.<\/span>\u00a0<\/span><\/li>\n
                                • A quel punto inietta l’estensione dannosa modificando direttamente i file “Secure Preferences” e “Preferences”, per consentire il caricamento dell’estensione senza alcun intervento da parte dell’utente.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                  \"Altro<\/div>\n
                                    \n
                                  • Il malware individua i percorsi di installazione dei browser interrogando le directory di sistema standard. Riesce cos\u00ec a individuare le cartelle contenenti i dati degli utenti per Chrome, Edge, Opera e Brave.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                  • Elenca sistematicamente i profili del browser e cerca in particolare la presenza del file “Secure Preferences”, che contiene dati fondamentali relativi alla configurazione del browser e alle estensioni.<\/span>\u00a0<\/span><\/li>\n
                                  • Puntando ai profili con Secure Preferences, il malware si assicura di modificare solo gli ambienti del browser validi, aumentando l’affidabilit\u00e0 dell’iniezione dell’estensione.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                    \"Si
                                    Si pu\u00f2 notare l’evento “writefile” nei file delle preferenze protette di Chrome e MS Edge, con cui i dettagli dell’estensione scaricata vengono scritti in tali file di configurazione.<\/em><\/figcaption><\/figure>\n
                                    \"Figura
                                    Figura 27. Logica utilizzata dall’autore dell’attacco per firmare nuovamente i file delle preferenze protette.<\/em><\/figcaption><\/figure>\n
                                      \n
                                    • Il malware legge e modifica il file delle preferenze protette del browser, che controlla le estensioni installate e il loro stato di affidabilit\u00e0.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                    • Inserisce l’estensione dannosa nella configurazione e cerca di rifirmare i dati modificati, in modo che le modifiche appaiano legittime ai controlli di integrit\u00e0 del browser.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                    • La configurazione aggiornata viene quindi salvata nuovamente sul disco, assicurando che l’estensione venga caricata automaticamente e rimanga attiva anche dopo il riavvio del browser.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                                      \"Figura<\/p>\n

                                      Figura 27B. Il percorso dell’estensione viene aggiunto al file delle preferenze protette di Chrome.<\/em><\/p>\n

                                      \"Figura
                                      Figura 28. Logica per manipolare le difese del browser Brave.<\/em><\/figcaption><\/figure>\n
                                        \n
                                      • Per Brave e Opera, il malware inietta l’estensione dannosa direttamente nella configurazione del browser, aggiungendo voci nella sezione extensions.settings (oppure extensions.opsettings).<\/span>\u00a0<\/span><\/li>\n
                                      • Inoltre aggiorna i campi relativi all’integrit\u00e0 (protection.macs) per far s\u00ec che l’estensione iniettata risulti attendibile agli occhi del browser.<\/span>\u00a0<\/span><\/li>\n
                                      • Infine il malware cerca di attivare la modalit\u00e0 sviluppatore a livello di programma, permettendo alle estensioni decompresse di funzionare con meno restrizioni.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                        \"Figura
                                        Figura 29. Logica utilizzata dall’autore dell’attacco per ottenere l’ID del dispositivo, necessario per calcolare i valori di integrit\u00e0.<\/em><\/figcaption><\/figure>\n
                                          \n
                                        • Il malware cerca di ricalcolare le firme di integrit\u00e0 del browser generando nuovi valori MAC (Message Authentication Code, codice di autenticazione del messaggio) per il file “Secure Preferences” modificato.<\/span>\u00a0<\/span><\/li>\n
                                        • Per simulare il meccanismo di verifica interno di Chrome utilizza identificatori specifici del sistema, come il SID del computer, combinati con un valore iniziale.<\/span>\u00a0<\/span><\/li>\n
                                        • Ricalcolando questi controlli di integrit\u00e0 (MAC e super_mac), il malware cerca di far sembrare legittime al browser le modifiche non autorizzate che ha apportato.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                          \"Figura
                                          Figura 30. Logica di autoeliminazione.<\/em><\/figcaption><\/figure>\n
                                            \n
                                          • Il malware include un meccanismo di autoeliminazione progettato per rimuovere il file eseguibile del programma di installazione una volta completata l’esecuzione.<\/span>\u00a0<\/span><\/li>\n
                                          • Avvia un processo nascosto del prompt dei comandi che ritarda brevemente l’esecuzione prima di eliminare il file originale dal disco.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                                            Conclusioni<\/span>\u00a0<\/span><\/h2>\n

                                            Questa campagna illustra in modo chiaro la direzione che stanno prendendo i ladri di criptovaluta ai danni dei consumatori: prendere la categoria pi\u00f9 vecchia e semplice di malware crittografico, il “clipper”, per potenziarne indisturbati tre dei suoi anelli pi\u00f9 deboli. Gli indirizzi statici degli aggressori sono stati sostituiti con una associazione lato server, specifica per ogni vittima. I domini di comando e controllo, fragili e incorporati nel codice, sono stati sostituiti da una ricerca basata su blockchain che si pu\u00f2 alternare con una singola transazione. Inoltre, un altrettanto fragile dropper (un file che rilascia un virus) \u00e8 stato sostituito con un\u2019estensione di Chromium che risiede all\u2019interno dell\u2019applicazione a cui l’utente si affida di pi\u00f9, caricata sotto la firma di integrit\u00e0 del browser stesso.<\/span><\/p>\n

                                            McAfee continuer\u00e0 a monitorare questa campagna e l’infrastruttura a essa collegata<\/strong>. I nostri clienti, che sono protetti dai sistemi di rilevamento gi\u00e0 in uso, beneficeranno degli aggiornamenti basati sui dati telemetrici man mano che verranno identificate nuove varianti e rotazioni nell’infrastruttura.<\/span>\u00a0<\/span><\/p>\n

                                            Indicatori di compromissione<\/span><\/span> (IOC)<\/span><\/h2>\n\n\n\n\n\n\n\n\n\n\n
                                            Tipo<\/span><\/b>\u00a0<\/span><\/td>\nCategoria<\/span><\/b>\u00a0<\/span><\/td>\nValore<\/span><\/b>\u00a0<\/span><\/td>\n<\/tr>\n
                                            SHA-256<\/span>\u00a0<\/span><\/td>\nProgramma di installazione .NET (BaseZipInstaller)<\/span>\u00a0<\/span><\/td>\n2735e12030c195fb5454e4736c51b55b59664b93cae9f4bd5317afcd9c2af0bf<\/span>\u00a0<\/span> 053620962047f50a91c6e8d1a6519eccc41fab51473f033086b4d816abe8bcb0<\/span>\u00a0<\/span> \u00a0<\/span><\/td>\n<\/tr>\n
                                            SHA-256<\/span>\u00a0<\/span><\/td>\nVariante del programma di installazione compilato in Golang<\/span><\/td>\n11be4c47ff049322de41743f62544cafd32d67e24ad653b7ebedf8ebd63e0962\u2003\u2003<\/span>\u00a0<\/span> 1432393691b415d0cd4680d9cee73e60896fbe63300d9f0355c96e91817e4b1d\u2003\u2003<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            URL<\/span>\u00a0<\/span><\/td>\nDistribuzione della carica virale<\/span><\/td>\nhxxps:\/\/google-services[.]cc\/base[.]zip<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            Dominio<\/span>\u00a0<\/span><\/td>\nComando e controllo (risolto tramite contratto intelligente)<\/span>\u00a0<\/span><\/td>\ndevops-offensive[.]cc<\/span> Zebregts[.]com<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            Wallet BTC<\/span>\u00a0<\/span><\/td>\nPortafogli della criptovaluta<\/span>\u00a0<\/span><\/td>\n3JvDBvKbS6YYMKjV3R9e9Zfd67f467fNLy<\/span>\u00a0<\/span> 1BbhVBxpniuZuAL1gGZnEMdQhmz9JGWpyT<\/span>\u00a0<\/span> 3AcPNVh7NyESwX3ECymy3rkdH4Ke2c26Tj<\/span>\u00a0<\/span> 1BVTrB47erypG3tevi1U9Fv6BbNUBEiuiX<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            Artefatto<\/span>\u00a0<\/span><\/td>\nDestinazione del caricamento laterale<\/span>\u00a0<\/span><\/td>\nFile delle preferenze protette di Chromium (profili di Chrome, Edge, Brave e Opera)<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            File dell’estensione<\/span>\u00a0<\/span><\/td>\nmanifest.json<\/span> \u00a0<\/span> crypto-patterns.js<\/span>\u00a0<\/span> \u00a0<\/span> Interceptor.js<\/span>\u00a0<\/span> \u00a0<\/span> content-script.j<\/span> \u00a0<\/span> \u00a0<\/span> cache.js<\/span> \u00a0<\/span> \u00a0<\/span> domain-resolver.js<\/span>\u00a0<\/span> \u00a0<\/span> service-worker.js<\/span>\u00a0<\/span> \u00a0<\/span> api-client.js<\/span>\u00a0<\/span><\/td>\ned2599d6a8f30d5eaf14ad7f855aece0acdf7efa4a148eb18e4d9f0d8e2cd90c<\/span> \u00a0<\/span> daf82c67e8e5df6bbd5370172ac9374aa7dce48af05496e8ec3dba7b602c619b<\/span> \u00a0<\/span> 6eb2f07265dd95cacd39dfcf0705786b97f3e173cf4e9b3dfe7bad141c9a9dd5<\/span>\u00a0<\/span> \u00a0<\/span> a2ffdbedc5c9f5400a2b1cf5d35f5ec1df06a74d0345f1035bcf75d36ed73e01<\/span> \u00a0<\/span> \u00a0<\/span> eb84ba4a0cd95655a021865d4fec93ae3393f86cc9848810ed0b49035b1c5e2c<\/span> \u00a0<\/span> 6aaba685669d779ef8be8f7f4231096cfafd0ef386f3897c5e2106c177724fc8<\/span> \u00a0<\/span> \u00a0<\/span> 2599064901308a97540af29197ed0b38702bbee38d6dbbfa61cf9eb5878353f3<\/span> \u00a0<\/span> ab450927b37e1b68e2be68832c354ac600e86e2545a904d4ca0ea283f2600cc2<\/span> \u00a0<\/span> \u00a0<\/span><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

                                             <\/p>\n","protected":false},"excerpt":{"rendered":"

                                            di Neil Tyagi Sintesi\u00a0 McAfee Advanced Threat Research ha individuato una campagna attiva basata su un’estensione del browser, concepita per…<\/p>\n","protected":false},"author":695,"featured_media":209107,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[11947],"tags":[],"coauthors":[16783],"class_list":["post-232841","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-internet-security"],"acf":[],"yoast_head":"\nScambio segreto: una campagna che sfrutta un\u2019estensione di tipo "crypto clipper" | Il blog di McAfee<\/title>\n<meta name=\"description\" content=\"Una campagna basata su un'estensione del browser ruba le criptovalute sostituendo i portafogli digitali quando si avvia una transazione.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<meta property=\"og:locale\" content=\"it_IT\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Scambio segreto: una campagna che sfrutta un\u2019estensione di tipo "crypto clipper" | Il blog di McAfee\" \/>\n<meta property=\"og:description\" content=\"Una campagna basata su un'estensione del browser ruba le criptovalute sostituendo i portafogli digitali quando si avvia una transazione.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/\" \/>\n<meta property=\"og:site_name\" content=\"Il blog di McAfee\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/McAfee\/\" \/>\n<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/McAfee\/\" \/>\n<meta property=\"article:published_time\" content=\"2026-07-14T12:05:01+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\" \/>\n\t<meta property=\"og:image:width\" content=\"600\" \/>\n\t<meta property=\"og:image:height\" content=\"400\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"author\" content=\"McAfee Labs\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@McAfee_Labs\" \/>\n<meta name=\"twitter:site\" content=\"@McAfee\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"McAfee Labs\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"21 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/\"},\"author\":{\"name\":\"McAfee Labs\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad\"},\"headline\":\"Scambio segreto: una campagna che sfrutta un\u2019estensione di tipo “crypto clipper”\",\"datePublished\":\"2026-07-14T12:05:01+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/\"},\"wordCount\":4277,\"publisher\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/#organization\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"articleSection\":[\"Sicurezza in Internet\"],\"inLanguage\":\"it-IT\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/\",\"name\":\"Scambio segreto: una campagna che sfrutta un\u2019estensione di tipo \\\"crypto clipper\\\" | Il blog di McAfee\",\"isPartOf\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/#primaryimage\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"datePublished\":\"2026-07-14T12:05:01+00:00\",\"description\":\"Una campagna basata su un'estensione del browser ruba le criptovalute sostituendo i portafogli digitali quando si avvia una transazione.\",\"breadcrumb\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/#breadcrumb\"},\"inLanguage\":\"it-IT\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"it-IT\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/#primaryimage\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"width\":600,\"height\":400},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Blog\",\"item\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Sicurezza in Internet\",\"item\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/\"},{\"@type\":\"ListItem\",\"position\":3,\"name\":\"Scambio segreto: una campagna che sfrutta un\u2019estensione di tipo “crypto clipper”\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/#website\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/\",\"name\":\"McAfee Blog\",\"description\":\"Notizie sulla sicurezza in Internet\",\"publisher\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"it-IT\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/#organization\",\"name\":\"McAfee\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"it-IT\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png\",\"width\":1286,\"height\":336,\"caption\":\"McAfee\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/#\/schema\/logo\/image\/\"},\"sameAs\":[\"https:\/\/www.facebook.com\/McAfee\/\",\"https:\/\/x.com\/McAfee\",\"https:\/\/www.linkedin.com\/company\/mcafee\/\",\"https:\/\/www.youtube.com\/McAfee\"]},{\"@type\":\"Person\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad\",\"name\":\"McAfee Labs\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"it-IT\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/#\/schema\/person\/image\/af947d76ffbef8521094b476cf8050c3\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg\",\"caption\":\"McAfee Labs\"},\"description\":\"McAfee Labs is one of the leading sources for threat research, threat intelligence, and cybersecurity thought leadership. See our blog posts below for more information.\",\"sameAs\":[\"https:\/\/www.linkedin.com\/company\/mcafee\/\",\"https:\/\/www.facebook.com\/McAfee\/\",\"https:\/\/x.com\/McAfee_Labs\"],\"url\":\"https:\/\/www.mcafee.com\/blogs\/it-it\/author\/mcafee-labs\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Scambio segreto: una campagna che sfrutta un\u2019estensione di tipo \"crypto clipper\" | Il blog di McAfee","description":"Una campagna basata su un'estensione del browser ruba le criptovalute sostituendo i portafogli digitali quando si avvia una transazione.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"og_locale":"it_IT","og_type":"article","og_title":"Scambio segreto: una campagna che sfrutta un\u2019estensione di tipo \"crypto clipper\" | Il blog di McAfee","og_description":"Una campagna basata su un'estensione del browser ruba le criptovalute sostituendo i portafogli digitali quando si avvia una transazione.","og_url":"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/","og_site_name":"Il blog di McAfee","article_publisher":"https:\/\/www.facebook.com\/McAfee\/","article_author":"https:\/\/www.facebook.com\/McAfee\/","article_published_time":"2026-07-14T12:05:01+00:00","og_image":[{"width":600,"height":400,"url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","type":"image\/jpeg"}],"author":"McAfee Labs","twitter_card":"summary_large_image","twitter_creator":"@McAfee_Labs","twitter_site":"@McAfee","twitter_misc":{"Written by":"McAfee Labs","Est. reading time":"21 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/#article","isPartOf":{"@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/"},"author":{"name":"McAfee Labs","@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad"},"headline":"Scambio segreto: una campagna che sfrutta un\u2019estensione di tipo “crypto clipper”","datePublished":"2026-07-14T12:05:01+00:00","mainEntityOfPage":{"@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/"},"wordCount":4277,"publisher":{"@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/#organization"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/#primaryimage"},"thumbnailUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","articleSection":["Sicurezza in Internet"],"inLanguage":"it-IT"},{"@type":"WebPage","@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/","url":"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/","name":"Scambio segreto: una campagna che sfrutta un\u2019estensione di tipo \"crypto clipper\" | Il blog di McAfee","isPartOf":{"@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/#website"},"primaryImageOfPage":{"@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/#primaryimage"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/#primaryimage"},"thumbnailUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","datePublished":"2026-07-14T12:05:01+00:00","description":"Una campagna basata su un'estensione del browser ruba le criptovalute sostituendo i portafogli digitali quando si avvia una transazione.","breadcrumb":{"@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/#breadcrumb"},"inLanguage":"it-IT","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/"]}]},{"@type":"ImageObject","inLanguage":"it-IT","@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/#primaryimage","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","width":600,"height":400},{"@type":"BreadcrumbList","@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/crypto-clipper-sostituzione-wallet-malware-estensione-browser\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Blog","item":"https:\/\/www.mcafee.com\/blogs\/it-it\/"},{"@type":"ListItem","position":2,"name":"Sicurezza in Internet","item":"https:\/\/www.mcafee.com\/blogs\/it-it\/internet-security\/"},{"@type":"ListItem","position":3,"name":"Scambio segreto: una campagna che sfrutta un\u2019estensione di tipo “crypto clipper”"}]},{"@type":"WebSite","@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/#website","url":"https:\/\/www.mcafee.com\/blogs\/it-it\/","name":"McAfee Blog","description":"Notizie sulla sicurezza in Internet","publisher":{"@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.mcafee.com\/blogs\/it-it\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"it-IT"},{"@type":"Organization","@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/#organization","name":"McAfee","url":"https:\/\/www.mcafee.com\/blogs\/it-it\/","logo":{"@type":"ImageObject","inLanguage":"it-IT","@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/#\/schema\/logo\/image\/","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png","width":1286,"height":336,"caption":"McAfee"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/McAfee\/","https:\/\/x.com\/McAfee","https:\/\/www.linkedin.com\/company\/mcafee\/","https:\/\/www.youtube.com\/McAfee"]},{"@type":"Person","@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad","name":"McAfee Labs","image":{"@type":"ImageObject","inLanguage":"it-IT","@id":"https:\/\/www.mcafee.com\/blogs\/it-it\/#\/schema\/person\/image\/af947d76ffbef8521094b476cf8050c3","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg","caption":"McAfee Labs"},"description":"McAfee Labs is one of the leading sources for threat research, threat intelligence, and cybersecurity thought leadership. See our blog posts below for more information.","sameAs":["https:\/\/www.linkedin.com\/company\/mcafee\/","https:\/\/www.facebook.com\/McAfee\/","https:\/\/x.com\/McAfee_Labs"],"url":"https:\/\/www.mcafee.com\/blogs\/it-it\/author\/mcafee-labs\/"}]}},"_links":{"self":[{"href":"https:\/\/www.mcafee.com\/blogs\/it-it\/wp-json\/wp\/v2\/posts\/232841","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.mcafee.com\/blogs\/it-it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.mcafee.com\/blogs\/it-it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/it-it\/wp-json\/wp\/v2\/users\/695"}],"replies":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/it-it\/wp-json\/wp\/v2\/comments?post=232841"}],"version-history":[{"count":14,"href":"https:\/\/www.mcafee.com\/blogs\/it-it\/wp-json\/wp\/v2\/posts\/232841\/revisions"}],"predecessor-version":[{"id":232843,"href":"https:\/\/www.mcafee.com\/blogs\/it-it\/wp-json\/wp\/v2\/posts\/232841\/revisions\/232843"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/it-it\/wp-json\/wp\/v2\/media\/209107"}],"wp:attachment":[{"href":"https:\/\/www.mcafee.com\/blogs\/it-it\/wp-json\/wp\/v2\/media?parent=232841"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/it-it\/wp-json\/wp\/v2\/categories?post=232841"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/it-it\/wp-json\/wp\/v2\/tags?post=232841"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/it-it\/wp-json\/wp\/v2\/coauthors?post=232841"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}